Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

sieht der Entwurf vor, dass alle einzusetzenden IKT-Mittel von der Behörde und Organisation sicherheitsmässig zur Inbetriebnahme freigegeben werden müssen. Sofern aufgrund der Kritikalität eines IKT-Mittels die Erstellung eines Informationssicherheitskonzepts erforderlich ist, muss dieses Konzept von der Behörde oder Organisation genehmigt werden.

 Verstärkte Kontrollen und Prüfungen. Zusätzlich zu den allgemeinen Kontrollen (Art. 11) sieht der Vor-

entwurf im Bereich der IKT drei weitere Prüfungen vor.

 Eine Konformitätsprüfung. Für jedes einzusetzende IKT-Mittel soll sichergestellt werden, dass das Sicherheitsverfahren rechtmässig durchgeführt wurde und die vorgesehenen Massnahmen umgesetzt worden sind. Es handelt sich hier also um eine Qualitätskontrolle.

 Eine Prüfung der Informationssicherheitskonzepte. Die Informationssicherheitsbeauftragten sollen alle Informationssicherheitskonzepte prüfen, bevor diese der Geschäftsleitung zur Genehmigung unterbreitet werden.

 Eine Wirksamkeitsprüfung für die kritischsten IKT-Mittel. Vor der Freigabe von IKT-Mitteln der höchsten Sicherheitsstufe («sehr hoher Schutz») soll die tatsächliche Wirksamkeit der umgesetzten Massnahmen geprüft werden. Für die Durchführung dieser Prüfungen können nur ausgewiesene und zertifizierte Auditoren in Frage kommen. Diese Wirksamkeitsprüfung ist die einzige Massnahme, welche Auskunft über die effektive Informationssicherheit geben kann.

1.2.3.6 Personelle Massnahmen

Die Mitarbeitenden sowie Dritte, die mit der Bearbeitung von Informationen des Bundes beauftragt werden, sind für die Einhaltung der Vorschriften beim Umgang mit Informationen und IKT-Mitteln verantwortlich. Die Wahrnehmung dieser Verantwortung setzt eine angemessene und stufengerechte Ausbildung voraus. In diesem Bereich ist der Handlungsbedarf besonders gross.

Entscheidend für die Wahrung der Informationssicherheit ist auch die restriktive Erteilung von Berechtigungen. Nach diesem Grundsatz sollen Personen nur über diejenigen Berechtigungen für die Bearbeitung von und den Zugriff auf Informationen sowie für den Zugang zu Räumlichkeiten und Bereichen verfügen, die sie tatsächlich für die Erfüllung ihrer Aufgaben benötigen. Zudem sollen die Berechtigungen regelmässig überprüft werden. Diese Regel, die insbesondere gegen die Gefahr einer Innentat gerichtet ist, wird zurzeit nicht überall eingesetzt und umgesetzt.

Der Entwurf legt deshalb beide Grundsätze (Ausbildung und restriktive Erteilung von Berechtigungen) als minimale personelle Anforderungen fest. Die verpflichteten Behörden und Organisationen werden im Rahmen ihres Vollzugsrechts detaillierte Vorgaben erlassen müssen.

1.2.3.7 Physischer Schutz von Informationen und IKT-Mitteln

Zu oft wird vergessen, wie wirksam Eingangskontrollen und sonstige physische Schutzmassnahmen für die Informationssicherheit sind. Die Vorlage legt in diesem Bereich die minimale Anforderung fest, diesen Schutz zu regeln.

Sie schafft zudem eine Grundlage für die Einrichtung von sogenannten Sicherheitszonen. Dabei handelt es sich um Räumlichkeiten und Bereiche, die besonders geschützt werden, weil in ihnen häufig klassifizierte Informationen der Stufe VERTRAULICH oder GEHEIM bearbeitet oder IKT-Mittel der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» betrieben werden. Solche Sicherheitszonen sind international üblich, beim Bund aber kaum bekannt. Die Einrichtung von Sicherheitszonen wird nicht als zwingende Massnahme, sondern als "Kann"-Vorschrift konzipiert. Für die Einrichtung ist eine formell-gesetzliche Grundlage erforderlich, weil Sicherheitszonen mit Massnahmen verbunden werden können, die einen relativ tiefen Eingriff in die Persönlichkeitsrechte darstellen (z.B. Verwendung von biometrischen Identifikationsmethoden oder ständige Videoüberwachung). Für den Zugang zu Sicherheitszonen kann auch die Durchführung einer vorgängigen Personensicherheitsprüfung erforderlich sein. In der Praxis werden solche Sicherheitszonen hauptsächlich für Server-, Führungs- oder Sicherheitsräume errichtet.

1.2.4 Personensicherheitsprüfungen

Eine der heikelsten und intensivsten Sicherheitsbedrohungen entsteht dann, wenn Personen, die über Zugang zu höher klassifizierten Informationen verfügen oder besonders kritische IKT-Mittel verwalten oder betreiben, Verrat oder Sabotage üben oder z.B. die staatlichen Institutionen auf rechtswidrige Art umgestalten wollen. Sensitive Funktionen sollen deshalb ausschliesslich Personen anvertraut werden, die möglichst weitgehend Gewähr dafür bieten, dass sie das ihnen entgegengebrachte Vertrauen nicht missbrauchen. Dies ist insbesondere dann nicht der Fall, wenn bei Personen Anzeichen auf Erpressbarkeit oder Bestechlichkeit bestehen. Diese beiden Eigenschaften haben erfahrungsgemäss häufig einen zeitlich zurück liegenden Aus-